Вопросы и ответы для собеседования по AWS: 25 вопросов о сервисах, безопасности и проектировании

AWS-собеседования бывают двух видов. Одни проверяют, знаете ли вы, что делают сервисы и когда какой выбирать. Другие дают сценарий — например, веб-приложение, которое должно пережить сбой, или счёт, который вырос вдвое, — и смотрят, как вы рассуждаете о надёжности, безопасности и стоимости. В этом руководстве 25 вопросов с ответами в обоих стилях.

Детали сервисов и лимиты часто меняются, поэтому за точными цифрами обращайтесь к документации AWS. Интервьюер в первую очередь хочет услышать ваши рассуждения.

Основные сервисы

1. В чём разница между EC2, Lambda и контейнерами (ECS или EKS)?

EC2 даёт вам виртуальные серверы, которыми вы управляете сами. Lambda выполняет код в ответ на события без серверов, которыми нужно управлять, и вы платите за вызов и длительность, с ограничениями по времени работы и размеру. Контейнеры на ECS или EKS находятся посередине: вы упаковываете приложение, а сервис планирует его запуск — либо на серверах, которыми управляете вы, либо на Fargate, что избавляет от управления серверами.

Выбирайте Lambda для событийных задач или работы с резкими всплесками нагрузки, контейнеры — для долгоживущих сервисов и переносимости, а EC2 — когда нужен полный контроль над машиной.

2. Какие классы хранения есть в S3?

S3 предлагает классы под разные сценарии доступа: Standard для частого доступа, Intelligent-Tiering для неизвестного или меняющегося доступа, Standard-IA и One Zone-IA для нечастого доступа, а также классы Glacier для архивов с разным временем извлечения. Правила жизненного цикла автоматически перемещают объекты между классами.

3. Как защитить бакет S3?

Заблокируйте публичный доступ на уровне аккаунта и бакета, используйте политики бакета и роли IAM, дающие только необходимые права, включите шифрование (SSE-S3 или KMS), включите версионирование для восстановления, включите логирование доступа и используйте VPC-эндпоинты, когда трафик не должен идти через интернет.

4. В чём разница между EBS, EFS и S3?

EBS — это блочное хранилище, подключённое к одному инстансу EC2, как диск. EFS — это общая сетевая файловая система, которую могут монтировать многие инстансы. S3 — это объектное хранилище с доступом через API, подходящее для файлов, резервных копий и статических ресурсов.

5. В чём разница между RDS, Aurora и DynamoDB?

RDS запускает управляемые реляционные базы данных, такие как MySQL и PostgreSQL. Aurora — это реляционный движок AWS, совместимый с MySQL и PostgreSQL, созданный для более высокой доступности и производительности. DynamoDB — это управляемая NoSQL база данных «ключ-значение» и документная, которая масштабируется горизонтально и требует проектирования под шаблоны доступа. Выбирайте реляционную БД для соединений и транзакций across many tables, DynamoDB — для доступа по известным ключам в больших масштабах.

Сеть

6. Что такое VPC и из каких основных частей она состоит?

VPC — это ваша частная сеть в AWS. В неё входят подсети (публичные и приватные), таблицы маршрутизации, интернет-шлюз для публичного трафика, NAT-шлюзы, чтобы приватные подсети могли выходить в интернет, а также группы безопасности и сетевые ACL для контроля трафика.

7. В чём разница между группой безопасности и сетевым ACL?

Группа безопасности — это stateful-фаервол, привязанный к инстансу или сетевому интерфейсу, только с разрешающими правилами. Сетевой ACL — это stateless-фаервол на уровне подсети, поддерживающий правила разрешения и запрета. Обратный трафик в ACL нужно разрешать явно.

8. В чём разница между публичной и приватной подсетью?

У публичной подсети есть маршрут к интернет-шлюзу, поэтому к ресурсам в ней можно обратиться из интернета, если у них есть публичный адрес и это разрешено. У приватной подсети прямого маршрута нет, поэтому туда помещают базы данных и серверы приложений и дают им выходить наружу через NAT-шлюз.

9. Как бы вы соединили локальные системы с AWS?

VPN типа «сайт-сайт» для быстрого зашифрованного канала через интернет или Direct Connect для выделенного сетевого подключения с более стабильной производительностью. Во многих конфигурациях используют оба варианта, а VPN — как резерв.

10. Что делает Route 53?

Это DNS-сервис AWS. Он также поддерживает проверки работоспособности и политики маршрутизации, такие как взвешенная, на основе задержки, геолокационная и отказоустойчивая.

Безопасность и идентификация

11. Что такое IAM и что означает принцип наименьших привилегий?

IAM управляет тем, кто что может делать в AWS. Принцип наименьших привилегий означает, что каждому пользователю, роли или сервису выдаются только те разрешения, которые ему действительно нужны. Предпочитайте роли с временными учётными данными, а не долгосрочные ключи доступа, и используйте условия в политиках и границы разрешений там, где это полезно.

12. В чём разница между пользователем, группой, ролью и политикой в IAM?

Пользователь — это идентификация с долгосрочными учётными данными. Группа — это набор пользователей. Роль — это идентификация, которую может временно принять человек, сервис или другая учётная запись. Политика — это документ, определяющий разрешения, который прикрепляется к любому из перечисленного.

13. Как вы управляете секретами?

Храните их в Secrets Manager или Systems Manager Parameter Store, а не в коде или файлах окружения в репозитории. Предоставляйте доступ через роли IAM, выполняйте ротацию и шифруйте их с помощью KMS.

14. Что делает KMS?

AWS Key Management Service создаёт ключи шифрования и управляет ими. Многие сервисы используют его для шифрования данных при хранении, а вы контролируете, кто может использовать каждый ключ, через политики ключей и IAM.

Надёжность и масштабирование

15. Как сделать приложение высокодоступным?

Разместите его как минимум в двух зонах доступности. Поставьте перед ним балансировщик нагрузки, используйте группу Auto Scaling для замены вышедших из строя инстансов, применяйте базу данных с поддержкой Multi-AZ и избегайте хранения состояния на одном сервере. Для защиты от отказа региона добавьте второй регион с репликацией данных и переключением через DNS — и решите, оправдывают ли затраты такой подход.

16. В чём разница между Application Load Balancer и Network Load Balancer?

ALB работает на уровне 7 для HTTP и HTTPS и поддерживает маршрутизацию по пути и хосту. NLB работает на уровне 4 для TCP и UDP, выдерживает очень высокую пропускную способность при низкой задержке и предоставляет статические IP-адреса.

17. Как работает автоматическое масштабирование?

Группа Auto Scaling поддерживает количество инстансов в диапазоне между минимумом и максимумом. Политики масштабирования добавляют или удаляют инстансы на основе метрик, таких как загрузка CPU, количество запросов или расписание. Проверки состояния заменяют неработоспособные инстансы.

18. Что такое RTO и RPO? Какие существуют основные стратегии аварийного восстановления?

RTO — это сколько времени вы можете оставаться недоступными, а RPO — сколько данных вы можете потерять. Обычные стратегии — от самой дешёвой и медленной до самой дорогой и быстрой — это резервное копирование и восстановление, pilot light, warm standby и multi-site active-active.

19. Когда вы используете SQS, SNS или EventBridge?

SQS — это очередь для развязки производителей и потребителей и сглаживания нагрузки. SNS — это модель публикации-подписки, при которой сообщение отправляется множеству подписчиков. EventBridge маршрутизирует события между сервисами и источниками SaaS на основе правил. Распространённый шаблон — SNS с несколькими очередями SQS, чтобы каждый потребитель обрабатывал сообщения в своём темпе.

Эксплуатация и затраты

20. Как вы мониторите приложение в AWS?

CloudWatch — для метрик, логов и алертов, X-Ray или аналогичная трассировка — для путей запросов, CloudTrail — для активности API и аудита. Алерты должны приходить человеку или в систему автоматизации, а дашборды должны показывать значимые сигналы, такие как доля ошибок и задержка.

21. Что такое инфраструктура как код и какие инструменты вы используете?

Это определение инфраструктуры в файлах, которые версионируются и проходят ревью. В AWS основные инструменты — CloudFormation и CDK, а Terraform широко используется как сторонний вариант. Преимущества — воспроизводимость, ревью и лёгкость пересборки.

22. Ваш счёт за AWS удвоился. Что вы делаете?

1. Откройте Cost Explorer и сгруппируйте данные по сервису, аккаунту и тегу, чтобы найти, что изменилось.
2. Проверьте новые ресурсы или ресурсы с изменённым размером, передачу данных, а также неприкреплённые тома и простаивающие инстансы.
3. Проверьте, не было ли всплеска трафика или вышедшего из-под контроля процесса.
4. Устраните причину, затем настройте бюджеты и алерты, чтобы замечать такое раньше.
5. Поищите возможности долгосрочной экономии: подбор оптимального размера, Savings Plans или резервирование мощностей, spot-инстансы для гибких задач и правила жизненного цикла хранения.

23. Как снизить затраты на передачу данных?

По возможности держите трафик внутри одного региона и зоны доступности, используйте VPC-эндпоинты для сервисов AWS вместо NAT-шлюзов, применяйте CDN, например CloudFront, для доставки контента и сжимайте данные.

Ситуационные вопросы

24. Спроектируйте отказоустойчивое веб-приложение на AWS.

«Я бы разместил приложение в группе Auto Scaling в двух-трёх зонах доступности в приватных подсетях за Application Load Balancer в публичных подсетях. База данных — Multi-AZ RDS или Aurora, с резервными копиями и репликами для чтения, если нагрузка на чтение высокая. Статический контент — в S3 за CloudFront. Сессии — в ElastiCache или в базе данных, а не на инстансах. Развёртывание — через infrastructure as code, мониторинг — через алармы CloudWatch, секреты — в Secrets Manager».

Затем обсудите компромиссы: стоимость, время восстановления и нужна ли мультирегиональность.

25. Функция Lambda завершается по таймауту. Как вы будете разбираться?

Проверьте логи CloudWatch и метрики длительности, поищите медленные вызовы downstream-сервисов, например базы данных или API, проверьте эффект холодного старта и настройки памяти (больше памяти — больше CPU), а также не ждёт ли функция подключения к VPC или не упирается ли в лимиты. Исправляется это таймаутами и повторами, кэшированием, увеличением памяти или переносом долгих задач в очередь или контейнер.

Как готовиться

Соберите небольшой проект, в котором используются VPC, балансировщик нагрузки, база данных и бакет, и потренируйтесь объяснять каждое решение. Изучите столпы Well-Architected (operational excellence, security, reliability, performance efficiency, cost optimization и sustainability), потому что многие ситуационные ответы опираются именно на них. Для похожей практики проектирования смотрите наш гайд по вопросам системного дизайна, а для секций с кодом — гайд по ассистенту для coding-интервью.

Проговаривайте свои проекты вслух, а потом проверяйте транскрипт на места, где вы назвали сервис без объяснения причины. Соблюдайте правила работодателя насчёт AI-инструментов во время живого интервью.